Airflight

Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten bei der Nutzung der Airflight-Web-Anwendung verarbeitet werden, wofür und auf welcher Rechtsgrundlage. Airflight ist eine Anwendung für gewerbliche Drohnenpiloten: Sie prüft geplante Flüge gegen die Regeln der Offenen Kategorie (EU 2019/947), ermittelt zuständige Stellen und versendet auf Wunsch Zustimmungsanfragen an Behörden.

1. Verantwortlicher

Cornelius Naffin (Einzelunternehmer)
Hummelberg 1
74363 Güglingen
Deutschland
E-Mail: airflight@naffin.de

Ein Datenschutzbeauftragter ist nicht benannt, da hierfür keine gesetzliche Pflicht besteht.

2. Hosting (Vercel)

Die Anwendung wird bei Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA) betrieben. Beim Aufruf der Seiten verarbeitet Vercel technisch notwendige Verbindungsdaten, insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Adresse und Browser-Kennung (Server-Logs). Diese Daten sind für die Auslieferung der Seiten und die Absicherung des Betriebs erforderlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb). Da Vercel ein US-Anbieter ist, kann eine Übermittlung in die USA stattfinden. Grundlage hierfür sind die EU-Standardvertragsklauseln im Rahmen des Auftragsverarbeitungsvertrags mit Vercel. [PLATZHALTER: Prüfen: Vercel-DPA abgeschlossen und ob Vercel aktuell unter dem EU-US Data Privacy Framework zertifiziert ist; Formulierung dann entsprechend schärfen.]

3. Konto und Datenbank (Supabase)

Für Konten, Anmeldung und Datenhaltung wird Supabase (Supabase Inc.) eingesetzt. Das Datenbank-Projekt liegt in einer EU-Region. [PLATZHALTER: Supabase-Region des Projekts verifizieren (erwartet: eu-central, Frankfurt) und hier konkret benennen.]

Dort werden gespeichert:

  • Kontodaten: E-Mail-Adresse, Name, Passwort (nur als kryptografischer Hash), Profilangaben wie Telefonnummer und Unterschrift, sofern Sie sie hinterlegen. Das gilt auch für Konten eingeladener Team-Mitglieder.
  • Firmendaten: Firmenname, Anschrift, Angaben zur Haftpflichtversicherung, UAS-Betreiber-Registrierungsnummer.
  • Drohnendaten: Hersteller, Modell, Klasse, Gewicht.
  • Flugdaten: Fluggebiet (Koordinaten), geplantes Datum und Uhrzeit, Flughöhe, erkannte Geo-Zonen, Prüfergebnisse sowie der Verlauf der Behörden-Anfragen und -Antworten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes). Sitzt der Anbieter außerhalb der EU, erfolgt die Zusammenarbeit auf Basis eines Auftragsverarbeitungsvertrags mit EU-Standardvertragsklauseln. [PLATZHALTER: Supabase-DPA-Status prüfen.]

4. Karten und Geodaten

Beim Zeichnen des Fluggebiets lädt Ihr Browser Kartenkacheln von OpenFreeMap (tiles.openfreemap.org, Kartendaten: OpenStreetMap) sowie Geo-Zonen-Ebenen direkt von der DIPUL-Plattform des Bundes (uas-betrieb.de, Datengrundlage DFS und BKG). Dabei erhalten diese Dienste technisch bedingt Ihre IP-Adresse und den betrachteten Kartenausschnitt.

Zusätzlich prüft der Airflight-Server Ihr Fluggebiet serverseitig gegen die DIPUL-Geodienste, ermittelt die Ortsangaben per Reverse-Geocoding über Nominatim (OpenStreetMap Foundation) und lädt Zonen-Umrisse über die Overpass-API. Bei diesen serverseitigen Anfragen werden nur die Koordinaten des Fluggebiets übermittelt, keine Konto- oder Personendaten und nicht Ihre IP-Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (die Kartendarstellung und Zonen-Prüfung sind Kern des Dienstes).

5. KI-Funktionen (Anthropic Claude)

Airflight nutzt für zwei klar abgegrenzte Funktionen die Claude-API von Anthropic (Anthropic PBC, San Francisco, USA):

  • KI-Behörden-Ermittlung (experimentell, startet nur auf Ihren Klick): Übermittelt werden ausschließlich fachliche Flugdaten, nämlich die Koordinaten des Fluggebiets, Ortsangaben (Bundesland, Landkreis, Ort), Drohnen-Klasse, Gewicht und Kamera-Ausstattung, Flughöhe, Betriebsart, Tageszeit sowie die erkannten Geo-Zonen. Es werden keine Namen, keine E-Mail-Adressen und keine Firmen- oder Kontodaten übermittelt; die Software ist so gebaut, dass diese Felder an dieser Stelle technisch gar nicht übergeben werden können.
  • Einordnung eingehender Behörden-Antworten: Geht die Antwort einer Behörde per E-Mail ein, werden Betreff und Text dieser Antwort sowie Grund und Rechtsgrundlage der ursprünglichen Anfrage an die Claude-API übermittelt, um eine Einordnung (genehmigt, abgelehnt, Rückfrage) vorzuschlagen. Der Text der Behörden-Antwort kann personenbezogene Daten enthalten, etwa den Namen der Sachbearbeiterin oder des Sachbearbeiters oder zitierte Angaben aus der Anfrage.

Beide Funktionen liefern ausschließlich Vorschläge, die in der Oberfläche als solche gekennzeichnet sind. Die Entscheidung trifft immer ein Mensch; eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (KI-Ermittlung als von Ihnen angeforderter Teil des Dienstes) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Vorsortierung eingehender Antworten). Anthropic ist ein US-Anbieter; Grundlage der Übermittlung sind die EU-Standardvertragsklauseln im Rahmen des Auftragsverarbeitungsvertrags. Übermittelte Inhalte werden nach den Vertragsbedingungen der Anthropic-API nicht zum Training der Modelle verwendet. [PLATZHALTER: Anthropic-DPA und aktuelle Commercial Terms verifizieren und hier verlinken.]

6. E-Mail-Versand an Behörden und Antwort-Empfang (Resend)

Zustimmungsanfragen an Behörden werden nur auf Ihre ausdrückliche Anforderung versendet: Sie bestätigen den Behörden-Kontakt und klicken anschließend auf „Senden“. Der Versand läuft über den Dienst Resend (Resend Inc., USA). Die E-Mail an die Behörde enthält: Firmenname und Firmenanschrift, Name der Pilotin oder des Piloten, deren Telefonnummer und E-Mail-Adresse (sofern hinterlegt), die Flugdaten (Ort, Datum, Uhrzeit, Koordinaten des Fluggebiets, Flughöhe, Drohnenmodell), Angaben zur Haftpflichtversicherung sowie die UAS-Betreiber-Registrierungsnummer.

Antworten der Behörde gehen an eine vorgangsbezogene Empfangsadresse, werden über Resend entgegengenommen und dem jeweiligen Vorgang zugeordnet gespeichert, damit Ihr Team den Stand der Anfrage einsehen kann.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Empfänger der Anfrage ist die jeweils von Ihnen bestätigte Behörde oder Stelle. [PLATZHALTER: Resend-DPA/Standardvertragsklauseln prüfen und ergänzen, ob eine EU-Region für die Verarbeitung konfiguriert ist.]

7. Fehler-Monitoring (Sentry)

Zur Erkennung und Behebung technischer Fehler wird Sentry (Functional Software Inc., USA) eingesetzt. Tritt ein Fehler auf, werden Fehlermeldung, technischer Ablauf (Stacktrace), Browser- und Geräteinformationen sowie der Zeitpunkt übertragen. Zusätzlich werden Leistungsdaten erhoben (im Produktivbetrieb als Stichprobe von etwa 10 Prozent der Vorgänge). Sitzungs-Aufzeichnungen (Session Replay) sind nicht aktiviert; die Übermittlung zusätzlicher Personendaten wie der vollen IP-Adresse ist im SDK nicht eingeschaltet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem fehlerfreien Betrieb). [PLATZHALTER: Sentry-DPA/Standardvertragsklauseln prüfen; falls das Projekt in der Sentry-EU-Region liegt, hier entsprechend anpassen.]

8. Cookies

Airflight setzt ausschließlich technisch notwendige Cookies für die Anmeldung (Sitzungs-Cookies von Supabase). Es gibt kein Tracking, keine Werbung und keine Analyse-Werkzeuge. Ein Einwilligungs-Banner ist daher nicht erforderlich.

Rechtsgrundlagen: § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. b DSGVO.

9. Speicherdauer

Konto-, Firmen-, Drohnen- und Flugdaten werden gespeichert, solange das Konto besteht. Wird das Konto gelöscht, werden die Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten (etwa handels- und steuerrechtliche Fristen) entgegenstehen. Server-Logs und Fehlerberichte werden nach den Fristen der jeweiligen Anbieter automatisch gelöscht. [PLATZHALTER: Konkrete Log- und Fehlerbericht-Aufbewahrungsfristen von Vercel und Sentry ergänzen.]

10. Ihre Rechte

Sie haben gegenüber dem Verantwortlichen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen Ihrer besonderen Situation widersprechen (Art. 21 DSGVO). Wenden Sie sich dazu an airflight@naffin.de.

11. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für den Verantwortlichen zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (www.baden-wuerttemberg.datenschutz.de).

12. Stand dieser Erklärung

Stand: [PLATZHALTER: Datum des Livegangs eintragen]. Diese Erklärung wird angepasst, wenn sich der Dienst oder die eingesetzten Anbieter ändern.